La bonne question n'est pas « c'est sécurisé ? »
Tout le monde vend la même promesse. « Urne chiffrée », « secret garanti », « conforme CNIL » : c'est le minimum d'une page commerciale, et ça ne vous apprend rien. À mon sens, un dirigeant de PME qui compare des solutions de vote électronique se trompe de question. « Est-ce sécurisé ? » n'a aucune valeur discriminante — personne ne répondra non.
La vraie question, celle qui sépare un prestataire sérieux d'un habillage marketing : « Pouvez-vous me le prouver, sans que j'aie à vous croire sur parole ? » En clair, si le scrutin est contesté — et il se conteste dans les 15 jours suivant la proclamation, devant le tribunal judiciaire —, êtes-vous capable de démontrer, pièces à l'appui, que le secret et la sincérité ont été tenus ? Une PME n'a ni le temps ni les moyens d'encaisser une annulation et de tout recommencer.
C'est le fil de cette page. Le cadre légal, oui, on va le poser vite : il est incontournable. Mais le critère de décision, lui, tient en un mot — la vérifiabilité.
Posez-la à chacun de vos devis : « Les bulletins individuels sont-ils déchiffrés, à un moment quelconque ? » Si l'on vous parle d'« urne sécurisée » sans répondre, ou si l'on esquive, la confidentialité vous est promise, pas démontrée. La bonne réponse est nette : non, jamais — le décompte est homomorphe à seuil.
Obligatoire en PME ? Non — mais très encadré
Non, le vote électronique n'est jamais obligatoire. Ce qui l'est, dès 11 salariés pendant 12 mois consécutifs, c'est l'organisation des élections du CSE. Le vote en ligne reste une modalité que l'employeur choisit, à la place ou en complément de l'urne et du vote par correspondance. Aucun effectif minimal : une PME de 14 salariés y a autant droit qu'un groupe de 5 000.
En revanche, dès que vous décidez d'y recourir, trois marches sont incontournables — et c'est là que beaucoup de PME trébuchent. Il faut d'abord une base juridique : un accord d'entreprise, ou, à défaut, une décision unilatérale de l'employeur (DUE) prise après une tentative loyale de négociation. Ce choix se traduit ensuite dans le protocole d'accord préélectoral (PAP). Enfin, un cahier des charges décrivant les garanties de sécurité est tenu à la disposition des salariés.
L'erreur classique ? Croire que le PAP suffit. Le protocole inscrit le recours au vote électronique, il ne le fonde pas. Sauter la base juridique, c'est offrir à un contestataire un motif d'annulation prêt à l'emploi. Tout ce socle procédural repose sur les articles R.2314-5 à R.2314-18 du Code du travail.
Accord ou DUE : votre première décision structurante
Le choix dépend surtout de votre dialogue social. Le législateur privilégie l'accord d'entreprise, négocié et signé selon les règles de validité de droit commun. Mais beaucoup de PME n'ont pas de délégué syndical, ou n'ont jamais ouvert de négociation. À défaut d'accord, la DUE prend le relais.
Une réserve, et elle est sérieuse : la DUE ne se justifie qu'après une tentative loyale de négociation. Elle ne doit pas servir à court-circuiter le dialogue social. Dans une PME sans délégué syndical, l'impossibilité de négocier est plus simple à démontrer — à condition de tracer la démarche : invitations, comptes rendus, dates. C'est cette traçabilité qui sécurise le choix, pas la DUE en elle-même.
Comment on prouve que personne ne voit votre bulletin
Voici le cœur, et le point où le marché reste évasif. Dans une PME, tout le monde se connaît : la crainte qu'un dirigeant ou un manager remonte jusqu'au vote d'un salarié est concrète, et parfaitement légitime. Y répondre par « c'est anonyme, promis » ne suffit pas. Il faut le montrer.
Le bulletin est chiffré sur l'appareil de l'électeur, avant toute transmission — schéma de type ElGamal sur la courbe Ristretto255. Le serveur ne reçoit jamais de vote en clair. Le décompte, lui, est homomorphe à seuil : les bulletins chiffrés sont additionnés mathématiquement pour produire un résultat chiffré, sans qu'aucun vote individuel ne soit jamais déchiffré. Seul le total est révélé — et encore, la clé n'est jamais détenue par une seule personne, mais générée de façon distribuée entre plusieurs gardiens (DKG).
La conséquence est ce qui compte. Puisque les bulletins ne sont jamais ouverts un à un, il n'existe, par conception, aucune opération technique permettant de relier un vote à un votant : ni l'employeur, ni l'opérateur, ni un administrateur. Ce n'est pas une politique de confidentialité qu'on vous demande de croire ; c'est une propriété de l'architecture, que l'expertise indépendante peut vérifier.
Même logique en amont, pour l'authentification. La norme du marché — envoyer des codes par e-mail ou SMS — a une faille structurelle : un code qui se transmet peut être intercepté, transféré, hameçonné. Ici, l'électeur s'enrôle avec une clé d'accès (passkey), une clé matérielle ou la biométrie de son appareil, via WebAuthn et son extension PRF. Le secret qui prouve son droit de vote est dérivé localement et n'est jamais transmis au serveur. Rien à intercepter, rien à réinitialiser, personne bloqué devant un identifiant perdu.
- Authentification WebAuthn PRF — secret dérivé sur l'appareil, jamais transmis ; aucun identifiant transférable qui voterait à la place d'autrui.
- Chiffrement homomorphe à seuil — les bulletins s'additionnent chiffrés ; aucun vote n'est ouvert individuellement, la clé est répartie entre gardiens.
- Journal append-only — chaque opération du scrutin est horodatée et chaînée ; on ajoute une entrée, jamais on n'en réécrit une.
- Vérifiabilité de bout en bout (E2E-V) — l'électeur vérifie que son bulletin est enregistré, et n'importe qui vérifie que le total correspond aux bulletins déposés.
- Récépissé sans contenu — il atteste que le vote a été pris en compte, jamais ce qui a été voté : combiné à l'absence de déchiffrement individuel, il réduit fortement la coercition par conception.
CNIL 2026 : la recommandation à jour (et un test gratuit)
Petit détail qui en dit long. Beaucoup de prestataires — et de modèles de cahier des charges qui circulent encore — s'appuient sur la recommandation CNIL de 2019 (délibération n°2019-053). Elle est abrogée. Depuis le 19 mars 2026, c'est la délibération n°2026-045 qui fait foi. Si un devis vous cite la version de 2019 comme référence en vigueur, vous savez déjà à quel point sa veille juridique est à jour.
La logique, elle, ne change pas : trois niveaux de risque (1, 2, 3). Chaque organisation évalue le niveau de son scrutin selon les menaces qui pèsent sur lui — enjeux, taille, contexte social, exposition — et renforce ses garanties en conséquence. Pour une PME, cette évaluation fait partie de la préparation : elle conditionne la profondeur de l'expertise.
La CNIL recommande qu'une expertise indépendante vérifie le système avant sa première mise en œuvre, et après toute modification substantielle. Confiée à un tiers compétent, elle contrôle la confidentialité, le secret, la sincérité, l'intégrité de l'urne, l'authentification, la traçabilité — et produit un rapport opposable en cas de contentieux. Le profil CSE de CSE Election est conçu pour le niveau 3 et pour cette expertise. Je pèse mes mots : certifiable, pas certifié.
Aucune solution n'est « certifiée CNIL » ni « 100 % conforme » de droit — c'est l'expertise indépendante de votre scrutin qui l'établit. Le profil CSE est conçu pour la conformité et pour cette expertise (profil certifiable niveau 3), sur le seul périmètre des élections CSE. Un expert dédié fournit à votre auditeur le mapping technique des garanties.
RGPD : qui est responsable de quoi
Un point que beaucoup de dirigeants ignorent, et qui compte en cas de contrôle. Le RGPD répartit les rôles : l'employeur est responsable de traitement — c'est lui qui décide d'organiser les élections et en fixe les finalités. CSE Election (technologie Sephos) intervient comme sous-traitant au sens de l'article 28, lié par un contrat qui encadre strictement le traitement, pour le seul compte de l'employeur.
La base légale n'est pas le consentement, mais l'obligation légale d'organiser les élections (Code du travail, art. L.2314-4 et suivants). On ne collecte que le nécessaire — identité, collège, émargement : c'est la minimisation. Et la conservation est bornée : les données et preuves du scrutin sont gardées jusqu'à l'épuisement des délais de recours, soit 15 jours après la proclamation (art. R.2314-17), sauf contentieux qui suspend la destruction. Conserver « au cas où », c'est une faute, pas une précaution.
Combien ça coûte pour une PME ?
C'est souvent la première question, et la réponse honnête tient en une phrase : ça dépend de votre périmètre. Le prix se construit sur le nombre d'électeurs (tarif unitaire dégressif), le nombre de tours, la configuration — mono ou multi-collèges, mono ou multi-sites — et surtout le niveau d'accompagnement : plateforme en autonomie ou délégation complète.
Pour donner un ordre de grandeur du marché, les formules de base d'un scrutin de PME se situent souvent de quelques centaines à un peu moins de mille euros, hors accompagnement renforcé. Ce ne sont que des repères. Comparer un prix d'appel sans regarder ce qu'il couvre — expertise indépendante incluse ou non, PV Cerfa, assistance le jour J, second tour — n'a aucun sens.
Le bon réflexe en PME n'est pas le moins-disant, mais le coût total maîtrisé. Une offre un peu plus chère qui inclut le cadrage juridique, l'expertise et les procès-verbaux revient souvent moins cher qu'une plateforme « nue » dont chaque difficulté se facture en supplément — sans parler d'un scrutin annulé qu'il faut intégralement refaire. Le simulateur ci-dessous donne une première estimation ; le devis chiffre votre cas réel.
- Nombre d'électeurs — le principal levier, avec un tarif unitaire dégressif : 14 salariés et 180 salariés ne se chiffrent pas pareil.
- Nombre de tours — un second tour éventuel peut être inclus ou facturé en plus selon les offres.
- Configuration — multi-collèges, multi-sites et options d'accessibilité pèsent sur le paramétrage.
- Niveau d'accompagnement — autonomie sur la plateforme, ou délégation complète à un expert (cadrage, expertise, PV, assistance).
- Périmètre réellement couvert — vérifiez l'inclusion : expertise indépendante, génération des PV, archivage des preuves, assistance le jour J.
Quel délai pour l'organiser ?
Le calendrier n'est pas une formalité : un retard sur une échéance peut fragiliser tout le scrutin. On construit le rétroplanning en remontant depuis l'expiration des mandats en cours. Deux jalons ne se négocient pas : l'information du personnel intervient au moins 90 jours avant le premier tour, et les procès-verbaux sont transmis dans les 15 jours suivant la proclamation. Comptez, en pratique, 2 à 3 mois entre la décision et le premier tour — le J-90 étant l'élément incompressible.
Rappel utile pour une petite structure : le premier tour est réservé aux organisations syndicales ; faute de quorum — la moitié des inscrits par collège — ou en cas de carence, le second tour, ouvert à toutes les candidatures, s'organise dans les 15 jours. Le paramétrage de la plateforme et l'expertise, eux, se mènent en parallèle : ils n'allongent pas le calendrier si l'on s'y prend tôt.
Procuration, vote hybride, accessibilité : les cas concrets
Trois questions reviennent presque à chaque scrutin de PME. La procuration, d'abord : aux élections du CSE, le vote est strictement personnel et la procuration n'est, en principe, pas admise. Un salarié ne vote pas à la place d'un autre. C'est précisément ce qui rend l'authentification individuelle décisive — le WebAuthn PRF garantit que c'est bien l'électeur inscrit, et lui seul, qui dépose son bulletin, sans identifiant qu'on puisse prêter.
Le vote hybride, ensuite : combiner plusieurs modalités sur un même scrutin, par exemple un poste de vote sur site pour les salariés sans équipement personnel, en complément du vote à distance. C'est une bonne pratique en PME pour ne laisser personne de côté — à condition que le protocole d'accord préélectoral le prévoie et que toutes les modalités offrent les mêmes garanties de secret, de sincérité et d'unicité.
L'unicité, justement, reste le principe cardinal : quelle que soit la modalité, un électeur vote une seule fois, et le système empêche le double vote par conception. C'est l'une des garanties que l'expert indépendant vérifie avant le premier tour.
Pourquoi CSE Election plutôt qu'un autre
CSE Election, c'est la technologie de vote Sephos en marque blanche, avec un parti pris assumé : la sécurité ne vaut que si elle se démontre. Authentification WebAuthn PRF sans secret transmissible, chiffrement homomorphe à seuil sans déchiffrement individuel, journal append-only, décompte vérifiable de bout en bout, profil CSE certifiable conçu pour l'expertise indépendante. Pas de superlatifs — des propriétés vérifiables.
Pour une PME, l'atout concret est ailleurs : un expert dédié qui prend le dossier de bout en bout. Cadrage juridique (accord ou DUE, cahier des charges, PAP), paramétrage des collèges, coordination de l'expertise, génération des PV Cerfa (15822*03 pour les titulaires, 15823*03 pour les suppléants), archivage des preuves. Exactement ce qui manque quand il n'y a pas de service RH ou juridique en interne.
Le périmètre certifiable couvre les élections CSE, et elles seules. Pour un référendum ou une assemblée générale, c'est une autre offre, avec ses propres garanties. Pour votre scrutin CSE, demandez un devis chiffré sur votre périmètre réel, ou voyez la solution en démonstration : vous repartirez avec des réponses précises, pas avec des adjectifs.
Quelle offre pour vous ?
Prix fixe, tout inclus, sans frais cachés.